A Qilin zsarolóvírus állítólag 1358 áldozatot követelt magának, ami rekordot jelentő szám, és jól mutatja, mennyire hatékony lehet egy zsarolóvírus-művelet, ha ötvözi az adatlopást, a titkosítást és a mindennapos biztonsági rések kihasználását. A csoport sikere nem kizárólag valamilyen egzotikus nulladik napi sérülékenységen alapul. A jelentések szerint a Qilin elsősorban kiszivárgott hitelesítő adatokon, javítatlan szoftvereken és megbízható hálózati kapcsolatokon keresztül terjed – ugyanazokon a gyengeségeken, amelyek évről évre felbukkannak mindenféle méretű szervezet biztonsági auditjai során.
Ez a részlet fontosabb a címlapokra kerülő számnál. Azt jelenti, hogy az áldozat hálózatába vezető út gyakran valami hétköznapi dologgal kezdődik: egy újrafelhasznált jelszóval, egy elfelejtett szoftverfrissítéssel vagy egy olyan bejelentkezéssel, amelyet már hónapokkal ezelőtt le kellett volna tiltani. Azon alkalmazottak számára, akik soha nem gondolnak magukra „biztonsági csapatként”, ez kellemetlen, de fontos ébresztő.
Mi az a Qilin zsarolóvírus, és hogyan terjed?
A Qilin egy olyan zsarolóvírus-törzs, amely adatokat lop és rendszereket titkosít – ezt a kombinációt általában kettős zsarolásnak nevezik. Ahelyett, hogy egyszerűen zárolnák a fájlokat, és váltságdíjat követelnének a visszafejtő kulcsért, az ezt a modellt alkalmazó csoportok először érzékeny adatokat szivárogtatnak ki. Ezzel a támadók két nyomást gyakorló eszközhöz jutnak: az áldozatok azt kockáztatják, hogy elveszítik a hozzáférést rendszereikhez, emellett pedig külön kockázatot jelent, hogy az ellopott adatokat kiszivárogtatják vagy eladják, ha nem fizetnek.
A jelentésekben szereplő terjedési mechanizmusok teszik a Qilint különösen tanulságossá a hétköznapi olvasók számára. A kiszivárgott hitelesítő adatok olyan felhasználóneveket és jelszavakat jelentenek, amelyek kiszivárogtak, újrafelhasználásra kerültek, vagy soha nem voltak megfelelően biztosítva. A javítatlan szoftver olyan ismert sérülékenységeket jelent, amelyeket a szervezetek egyszerűen még nem javítottak ki. A megbízható kapcsolatok legitim hálózati hozzáférésekre utalnak, például távoli hozzáférési eszközökre, beszállítói bejelentkezésekre vagy belső bizalmi kapcsolatokra, amelyeket a támadók nem nyers erővel törnek fel, hanem eltérítenek. Ezek egyike sem igényel fejlett hackerkészségeket. Türelmet igényelnek, és annak ismeretét, hogy a legtöbb szervezet és a legtöbb ember következetlen az alapvető biztonsági higiénia terén.
Mely vállalatokat és fogyasztói szolgáltatásokat érintette a támadás?
A Qilin tevékenységéről szóló jelentések a csoport megerősített áldozatainak számát 1358-ra teszik, amely számot a művelet új csúcsaként írnak le. Ez a méret a Qilint a jelenlegi fenyegetettségi környezetben nyomon követett legtermékenyebb zsarolóvírus-műveletek közé helyezi. Amit ez a szám nem mutat meg, az a mögötte rejlő emberi hatás: a lista minden egyes tétele egy szervezetet, és ezzel együtt alkalmazottakat, ügyfeleket és partnereket jelöl, akiknek az adatai és működése zavart szenvedett.
Itt válik lényegessé a tágabb minta. A zsarolóvírus-csoportoknak nem kell egy adott, jól ismert márkát célba venniük ahhoz, hogy valódi kárt okozzanak. A közepes méretű vállalkozásokat, szolgáltatókat és beszállítókat, amelyek nagyobb szervezetekhez kapcsolódnak, gyakran éppen azért söprik el, mert puhább célpontok, ugyanolyan értékes adatokkal vagy hálózati hozzáféréssel. Az olyan rekordszámú áldozat, mint a Qiliné, kevésbé szól egyetlen nagy horderejű esetről, mint inkább a mennyiségről: ugyanazon kiszámítható gyengeségek kihasználásáról a lehető legtöbb szervezetnél.
Hogyan veszélyeztetik adatait a feltört munkáltatói rendszerek?
Amikor egy zsarolóvírus feltör egy munkáltatói rendszert, a következmények ritkán maradnak meg az informatikán belül. Ha a munkáltatója hálózatát kiszivárgott hitelesítő adatokon vagy egy javítatlan rendszeren keresztül törik fel, az Ön személyes adatai, bérszámfejtési információi, a juttatásokhoz kapcsolódó egészségügyi nyilvántartások vagy akár a napi szinten kezelt ügyféladatok is ellophatók a vállalati fájlokkal együtt. Mivel a Qilin modellje magában foglalja az adatlopást is, nem csupán a titkosítást, a kockázat túlmutat az üzemszüneten. Az ellopott adatok nyilvánosságra kerülhetnek vagy eladhatók, kitéve az alkalmazottakat és az ügyfeleket személyazonosság-lopásnak és további átveréseknek, jóval az eredeti incidens megoldása után is.
A hitelesítő adatok ellopása és a social engineering gyakran az a belépési pont, amely lehetővé teszi ezeket a nagyszabású adatvédelmi incidenseket. A Cushman & Wakefield vishing támadás, ahol a támadók hangalapú adathalászattal (vishing) szereztek hitelesítő adatokat, és több százezer rekordhoz való hozzáférést állítottak, világos példája annak, hogyan vezethet egyetlen feltört bejelentkezés vagy egy meggyőző telefonhívás hatalmas adatkiszivárgáshoz. Az olyan zsarolóvírus-csoportok, mint a Qilin, pontosan ugyanabban a környezetben virágoznak: ahol a hitelesítő adatok kiszivárogtak vagy rosszul védettek, ott a támadóknak lehetőségük nyílik a behatolásra.
Gyakorlati lépések a zsarolóvírusok következményei elleni védekezéshez
Nem kell biztonsági szakembernek lennie ahhoz, hogy csökkentse az ilyen eseményeknek való kitettségét. Néhány szokás jelentős különbséget hozhat:
- Használjon egyedi, erős jelszavakat minden fiókhoz, különösen a munkahelyi bejelentkezésekhez, és engedélyezzen jelszókezelőt, ha a munkáltatója lehetővé teszi.
- Kapcsolja be a többtényezős hitelesítést mindenhol, ahol elérhető, mivel ez blokkolja a legtöbb olyan támadást, amely kizárólag ellopott hitelesítő adatokra támaszkodik.
- Tartsa naprakészen a szoftvereket minden munkavégzésre használt eszközén, beleértve a telefonokat és a vállalati rendszerekhez csatlakoztatott személyes laptopokat is.
- Legyen bizalmatlan a váratlan hívásokkal, SMS-ekkel vagy e-mailekkel szemben, amelyek hitelesítő adatok ellenőrzését vagy jelszavak visszaállítását kérik – ezt a taktikát gyakran használják bejelentkezési adatok megszerzésére.
- Azonnal jelentse a gyanús bejelentkezési kéréseket vagy fióktevékenységet az informatikai vagy biztonsági csapatának, ahelyett hogy azt feltételezné, hogy téves riasztás.
Mit jelent ez Önnek?
A Qilin rekordszámú áldozata emlékeztető arra, hogy a zsarolóvírusok elleni védekezési tippek nem csupán vállalati irányelvek, hanem személyes gyakorlatok is. Az ilyen esetek mögötti támadási lánc általában valami olyasmivel kezdődik, amit egy egyén megelőzhetett volna: egy újrafelhasznált jelszóval, egy kihagyott frissítéssel vagy egy olyan pillanattal, amikor hitelt adott egy rossz hívónak vagy e-mailnek. Lehet, hogy nem Ön irányítja munkáltatója javítási ütemezését, de a saját hitelesítő adatainak higiéniáját igen, és már ez is lezárhatja a támadók által használt egyik leggyakoribb utat.
A nagyobb tanulság az, hogy az olyan zsarolóvírus-csoportok, mint a Qilin, nem ritka, kifinomult exploitokra támaszkodnak, hogy több mint ezer áldozatot érjenek el. Kiszámítható, megelőzhető résekre támaszkodnak. Kezeljen minden bejelentkezést potenciális belépési pontként, engedélyezze a többtényezős hitelesítést mindenhol, ahol elérhető, és maradjon éber a social engineering kísérletekkel szemben, mert a következő rekordot döntő zsarolóvírusos címlap éppen azon a fajta hétköznapi figyelmetlenségen múlhat, amelynek megszüntetésére ezek a Qilin zsarolóvírus elleni védelmi tippek szolgálnak.
